MSP, MSSP, vCISO ou ressource interne : qui gère la sécurité ?
MSP, MSSP, vCISO ou employé interne : rôles, surveillance 24/7, indépendance et modèles de coûts comparés pour décider qui gère la cybersécurité de votre PME.
Faits vérifiés : octobre 2026Ce comparatif n’est pas commandité.
Notre recommandation selon votre situation
Étude de notaires de 10 personnes à Trois-Rivières, sans TI interne
Fournisseur de services TI gérés (MSP)
Une TI bien tenue d'abord, avec la sécurité écrite au contrat : MFA, sauvegardes testées, correctifs. Un audit indépendant ponctuel permet de vérifier que c'est fait.
Distributeur de 80 employés à Drummondville, avec un technicien TI interne
Fournisseur de services de sécurité gérés (MSSP / MDR)
Le technicien garde l'exploitation et les correctifs ; le MSSP surveille les alertes la nuit et la fin de semaine, quand personne n'est au bureau.
Sous-traitant aéronautique de 40 employés visé par la certification CPCSC
RSSI virtuel (vCISO)
Il traduit les exigences en plan, prépare l'évaluation et encadre le fournisseur TI, sans le coût d'un poste de direction à temps plein.
Comparaison point par point
Critère
Fournisseur de services TI gérés (MSP)
Fournisseur de services de sécurité gérés (MSSP / MDR)
RSSI virtuel (vCISO)
Ressource interne
Rôle principal
Exploitation TI quotidienne
Surveillance, détection et réponse
Gouvernance, priorités et conformité
Selon le profil : exploitation, sécurité ou les deux
Surveillance des alertes 24/7
Selon le contrat
Souvent offerte, à confirmer au contrat
Non
Non, sauf équipe complète
Application des correctifs et durcissement
Oui, au cœur du mandat
Selon le contrat
Non : il fixe les exigences
Oui
Politiques, plan de réponse et feuille de route
Selon le contrat
Partiel : procédures de réponse aux alertes
Oui, au cœur du mandat
Selon l'expertise de la personne
Accès privilégié à vos systèmes
Oui, étendu
Oui, aux outils de sécurité
Limité
Oui
Indépendance face à l'exploitation TI
Faible : il évaluerait son propre travail
Moyenne
Élevée s'il est distinct du MSP
Faible
Imputabilité en cas d'incident
Reste à l'entreprise ; rôles à définir au contrat
Reste à l'entreprise ; rôles à définir au contrat
Reste à l'entreprise
Reste à l'entreprise
Ce qu'il faut exiger par écrit
MFA sur ses comptes, moindre privilège, journaux conservés au moins 6 mois
Un employé dédié à la TI ou à la sécurité, sur place et intégré à l'équipe.
Idéal pour
Les PME d'une certaine taille dont les systèmes particuliers (OT, logiciels maison) exigent une connaissance fine.
Prix
Salaire, avantages sociaux, formation et outils ; un seul poste ne couvre ni les nuits, ni les fins de semaine, ni les vacances
Points forts
Connaît l'entreprise, les gens et les systèmes
Sur place, réagit vite
Garde le savoir à l'interne
Limites
Difficile à recruter : 65 % des PME québécoises disent manquer de personnel qualifié pour gérer le risque cyber (KPMG, 2023)
Une seule personne ne peut pas assurer une surveillance 24/7
Risque de perte de savoir si elle quitte
Dans bien des PME québécoises, la question « qui s'occupe de la cybersécurité ? » reçoit une réponse floue : « notre gars de TI », « notre fournisseur », « on a un antivirus ». Ce n'est pas un reproche. Selon un sondage KPMG de 2023, 65 % des PME québécoises n'ont pas le personnel qualifié pour gérer le risque cyber.
Quatre modèles s'offrent à vous : le fournisseur de services TI gérés (MSP), le fournisseur de services de sécurité gérés (MSSP), le RSSI virtuel (vCISO) et la ressource interne. Ils ne font pas le même travail, et la plupart des PME finissent par en combiner deux.
Notre méthode
Nous comparons des modèles d'organisation, pas des fournisseurs. Les critères s'appuient sur les publications du Centre canadien pour la cybersécurité, de la CISA, du NCSC britannique et du NIST, consultées en octobre 2026.
Le MSP fait tourner votre TI : il installe les correctifs, gère les comptes, surveille les sauvegardes et répond aux appels. La sécurité fait partie de son travail dans la mesure où le contrat le prévoit.
Le MSSP, ou le service MDR, surveille. Le NCSC britannique décrit le rôle d'un centre des opérations de sécurité comme celui de limiter les dégâts en détectant et en contrant les attaques qui ont réussi à contourner les protections préventives. C'est le service qui réagit à 3 h du matin.
Le vCISO gouverne. Le Centre canadien pour la cybersécurité recommande que chaque organisation désigne une personne en position de direction précisément responsable de la sécurité des TI. Le vCISO ne remplace pas cette personne : il l'outille, établit les priorités, rédige les politiques et vérifie que le plan avance.
La ressource interne connaît l'entreprise mieux que quiconque. Sa limite est mathématique : une personne ne couvre ni les nuits, ni les fins de semaine, ni ses propres vacances.
Impartir le travail ne transfère pas la responsabilité. Le Centre canadien pour la cybersécurité est explicite : l'organisation reste imputable de la réponse aux incidents, même quand le fournisseur en exécute une partie. Il recommande aussi de préciser dans l'entente de service les délais de réponse, les moyens de communication et le processus d'escalade.
Le fournisseur lui-même est un risque. Les MSP sont des cibles de choix parce que leur accès privilégié ouvre la porte de nombreux clients à la fois. Un avis de la CISA et de ses partenaires, dont le Centre canadien, recommande d'exiger par contrat l'authentification multifacteur sur tous les comptes du fournisseur, la conservation des journaux importants pendant au moins six mois et la désactivation de ses accès à la fin du contrat. Notre article sur la façon d'évaluer la sécurité de son fournisseur TI propose les questions à poser.
Enfin, sous la Loi 25, le responsable de la protection des renseignements personnels est par défaut la personne ayant la plus haute autorité dans l'entreprise. Aucun fournisseur ne porte ce rôle à votre place sans délégation écrite ; validez ces choix avec votre conseiller juridique.
Quand le même fournisseur configure vos systèmes, les surveille et vous dit que tout va bien, personne ne vérifie son travail. Ce n'est pas une question d'honnêteté : il est difficile d'évaluer objectivement ce qu'on a soi-même mis en place. Un vCISO distinct du MSP, ou un audit indépendant périodique, comble cet angle mort.
MSP seul, avec un audit périodique : le point de départ des petites entreprises.
MSP et MSSP : l'exploitation le jour, la surveillance en continu.
MSP et vCISO : quand des clients, un assureur ou un programme comme la CPCSC posent des exigences précises.
Ressource interne et MSSP : l'employé garde la main sur les systèmes, le MSSP couvre les heures où il n'est pas là.
Quelle que soit la combinaison, votre plan de réponse aux incidents doit dire qui appelle qui, et qui a le droit d'isoler un poste ou de couper un accès.
Qui applique les correctifs aujourd'hui, et dans quel délai ? Si personne ne peut répondre, commencez par un MSP ou une ressource interne.
Qui verrait une alerte à 3 h le dimanche ? Si la réponse est « personne », un MSSP ou un service MDR s'impose.
Qui répond aux questionnaires des assureurs et des clients ? Si c'est la direction, seule et sans appui, un vCISO allège la charge.
Qui vérifie le travail du fournisseur ? Si personne, prévoyez un regard indépendant.
Notre service d'accompagnement continu joue le rôle de vCISO pour les PME, en collaboration avec leur fournisseur TI actuel.
Questions fréquentes
Mon fournisseur TI s'occupe-t-il automatiquement de la cybersécurité ?+
Pas forcément. Certains contrats couvrent le soutien et l'entretien, sans surveillance des alertes, sans test des sauvegardes et sans plan de réponse. Relisez le vôtre et demandez par écrit ce qui est inclus. La CISA recommande que le contrat précise qui, du fournisseur ou du client, est responsable du durcissement, de la détection et de la réponse aux incidents.
Quelle est la différence entre un MSSP et un service MDR ?+
Les termes se chevauchent. Un MSSP offre en général des services de sécurité gérés variés, comme la gestion de pare-feu ou la surveillance de journaux. Un service MDR (détection et réponse gérées) se concentre sur la détection des attaques et l'intervention, par exemple isoler un poste compromis. Lisez le contrat : ce sont les actions autorisées et les délais qui comptent, pas l'étiquette.
Qui est responsable en cas d'incident si la TI est impartie ?+
Votre entreprise. Le Centre canadien pour la cybersécurité rappelle que l'organisation reste imputable de la réponse aux incidents, même si le fournisseur en exécute une partie. Sous la Loi 25, c'est aussi l'entreprise qui doit aviser la Commission d'accès à l'information et les personnes concernées en cas de risque de préjudice sérieux. Validez la répartition des rôles avec votre conseiller juridique.
Un vCISO peut-il être le responsable de la protection des renseignements personnels ?+
La Loi 25 confie ce rôle par défaut à la personne ayant la plus haute autorité dans l'entreprise, qui peut le déléguer par écrit. Un vCISO peut certainement soutenir ce responsable sur le volet sécurité. Confier la fonction elle-même à une personne externe soulève des questions à valider avec votre conseiller juridique.